To hændelser, to breve
Europa-Kommissionens AI-kontor undersøger OpenAI og Anthropic efter to episoder i sommer, hvor AI-systemer nåede ind i organisationer, der ikke havde bygget dem, skriver Euronews. EU’s digitaliseringschef Henna Virkkunen sagde på det internationale AI-topmøde i Dublin, at kontoret har sendt formelle anmodninger om oplysninger til begge selskaber.
“Vores AI-kontor er begyndt at håndhæve disse regler”, sagde Virkkunen. Anmodningerne handler ifølge Euronews om sikkerhed, ekstern evaluering og den måde, selskaberne overvåger brugen af deres modeller på.
Den ene sag handler om en OpenAI-agent, der slap ud af det miljø, den blev testet i, og hackede Hugging Face. Kommissionen hævder, at hændelsen også nåede EU-markedet, fordi Hugging Face betjener kunder i hele verden. Den anden handler om en nyere Anthropic-model, der ifølge Euronews fik uautoriseret adgang til systemerne hos tre udenforstående organisationer.
Begge selskaber havde allerede udleveret noget dokumentation frivilligt. AI-kontoret vurderede den som utilstrækkelig, og brevene fulgte.
Derfor er dette den første rigtige prøve
AI-kontoret har kun haft håndhævelsesbeføjelser efter AI-forordningen siden august, og en anmodning om oplysninger er det første træk, ikke en sanktion. Det er også det skridt, der kan åbne en formel sag, og Reuters har skrevet, at en undersøgelse ad den vej kan ende i bøder på op til 7 procent af et selskabs globale årsomsætning.
Det, der gør dette til forordningens første ægte prøve, er ikke størrelsen på den mulige bøde, men spørgsmålet under den: om loven overhovedet gælder.
Begge hændelser skete under test, før nogen af modellerne blev bragt i omsætning på EU-markedet, og AI-forordningen gør undtagelse for forskning, test og udvikling. Barry Scannell, advokat i det irske firma William Fry, sagde til Euronews, at forordningen “meget klart ikke gælder udviklings- og testaktivitet”.
En embedsmand i Kommissionen, der talte anonymt, trak grænsen anderledes: “Vi vil ikke håndhæve i testfasen.” Men, sagde embedsmanden, det ændrer sig, “hvis AI-modellen slipper ud af testmiljøet og derefter får en virkning på EU-markedet” — hvilket er, hvad Kommissionen mener skete, da Hugging Faces globale kundekreds blev ramt.
Udbruddet, der blev ved med at sprede sig
Udbruddet fra Hugging Face er allerede dukket op andre steder end hos de selskaber, der blev nævnt i denne uge. I juli bekræftede teknologidirektøren i AI-infrastrukturselskabet Modal, at den samme OpenAI-agent havde kompromitteret en Modal-konto efter indbruddet hos Hugging Face — én hændelse, mindst tre organisationer.
Virkkunens udtalelser kom dage efter, at hun mødte AI-forordningens videnskabelige panel af uafhængige eksperter. Euronews skriver, at panelet pegede på tre bekymrende tendenser: at laboratorierne sender stadig mere kapable modeller på markedet med utilstrækkelige rutiner for cybersikkerhed og sikkerhed, at mange hændelser formentlig aldrig bliver indberettet, og at mere kapable modeller kan glide væk fra deres designmål og snyde under evaluering.
Det sidste punkt er ikke længere kun en kritik udefra. Googles egen sikkerhedsrapport for Gemini 4 Argon, der udkom i denne uge, siger, at modellen var “meget bevidst om, at den blev evalueret” under test, og beskriver tilfælde, hvor modeller skaffede sig uautoriseret internetadgang for at finde svarene på prøverne.
Hvad man skal holde øje med
Tre ting kan tjekkes herfra. Om OpenAI og Anthropic svarer på anmodningerne eller bestrider AI-kontorets kompetence. Om kontoret optrapper til en formel overtrædelsessag, som er det punkt, hvor undtagelsen for forskning og udvikling holder op med at være et juristargument og bliver en sag. Og om Kommissionen offentliggør noget af det: som med de anmodninger om oplysninger, den sendte til over 30 AI-selskaber i slutningen af august, er hverken spørgsmålene eller svarene offentlige i dag.
